CVE-2026-98366 in Linux
Resumen
por VulDB • 2026-10-06
En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad:
RDMA/rxe: validar las banderas de acceso antes de cambiar el PD del MR
rxe_rereg_user_mr() reasigna mr->ibmr.pd primero y solo después valida el argumento IB_MR_REREG_ACCESS:
if (flags & IB_MR_REREG_PD) {
rxe_put(old_pd); rxe_get(pd); mr->ibmr.pd = ibpd; }
if (flags & IB_MR_REREG_ACCESS) {
if (access & ~RXE_ACCESS_SUPPORTED_MR) return ERR_PTR(-EOPNOTSUPP); mr->access = access; }
Ambas banderas superan la comprobación de entrada porque RXE_MR_REREG_SUPPORTED es IB_MR_REREG_PD | IB_MR_REREG_ACCESS, por lo que un llamador puede alcanzar la comprobación de acceso con mr->ibmr.pd ya reasignado.
mr->ibmr.pd es propiedad del núcleo (core), el cual ajusta pd->usecnt solo en el camino de éxito: ib_uverbs_rereg_mr() salta a put_new_uobj ante un error del controlador sin deshacer la reasignación, por lo que mr->pd == new_pd mientras los usecnts aún cargan al MR contra orig_pd. Luego, ib_dereg_mr_user() decrementa new_pd, cuyo contador puede llegar a cero mientras una ventana de memoria (memory window) sigue haciéndole referencia; uverbs_free_pd() libera el PD basándose únicamente en ese conteo y rxe_mw_cleanup() escribe en memoria ya liberada:
BUG: KASAN: slab-use-after-free in __rxe_put+0x31/0xa0 Write of size 4 at addr ffff8881301dd690 by task rxe_poc/591 __rxe_put+0x31/0xa0 rxe_mw_cleanup+0x42/0x200 __rxe_cleanup+0x115/0x370 rxe_dealloc_mw+0x4c/0x80 Allocated by task 591: ib_uverbs_alloc_pd+0x258/0x540 Freed by task 591: ib_dealloc_pd_user+0x174/0x210 uverbs_free_pd+0x8d/0xc0 ib_uverbs_dealloc_pd+0x18e/0x1d0
Validar las banderas de acceso antes de mutar cualquier estado para que la devolución de llamada (callback) aplique todos los cambios solicitados o ninguno.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.